浅析防火墙技术的发展趋势.docVIP

浅析防火墙技术的发展趋势 　随着网络技术的发展，因特网已经走进千家万户，网络的安全成为人 们最为关注的问题。目前，保护内部网免遭外部入侵比较有效的方法为防火墙技术。 　　传统意义上的防火墙技术分为三大类，“包过滤”（packet filtering）、“应用代理”（applicatiON proxy）和“状态监视”（STateful inspection），无论一个防火墙的实现过程多么复杂，归根结底都是在这三种技术的基础上进行功能扩展的。 　　一、防火墙的基本概念 　　防火墙是一个系统或一组系统，在内部网与因特网间执行一定的安全策略， 它实际上是一种隔离技术。 一个有效的防火墙应该能够确保所有从因特网流入或 流向因特网的信息都将经过防火墙，所有流经防火墙的信息都应接受检查。通过 防火墙可以定义一个关键点以防止外来入侵； 监控网络的安全并在异常情况下给 出报警提示，尤其对于重大的信息量通过时除进行检查外，还应做日志登记；提 供网络地址转换功能，有助于缓解 IP 地址资源紧张的问题，同时，可以避免当 一个内部网更换 ISP 时需重新编号的麻烦；防火墙是为客户提供服务的理想位 置，即在其上可以配置相应的 WWW 和 FTP 服务等。 　　二、防火墙的技术分类 　　现有的防火墙主要有：包过滤型、代理服务器型、复合型以及其他类型（双 宿主主机、主机过滤以及加密路由器）防火墙。 　　包过滤是最早使用的一种防火墙技术，它的第一代模型是“静态包过滤”（static packet filtering），使用包过滤技术的防火墙通常工作在osi模型中的网络层（network layer）上，后来发展更新的“动态包过滤”（dynamic packet filtering）增加了传输层（transport layer），简而言之，包过滤技术工作的地方就是各种基于tcp/ip协议的数据报文进出的通道，它把这两层作为数据监控的对象，对每个数据包的头部、协议、地址、端口、类型等信息进行分析，并与预先设定好的防火墙过滤规则（filtering rule）进行核对，一旦发现某个包的某个或多个部分与过滤规则匹配并且条件为“阻止”的时候，这个包就会被丢弃。适当的设置过滤规则可以让防火墙工作得更安全有效，但是这种技术只能根据预设的过滤规则进行判断，一旦出现一个没有在设计人员意料之中的有害数据包请求，整个防火墙的保护就相当于摆设了。也许你会想，让用户自行添加不行吗？但是别忘了，我们要为是普通计算机用户考虑，并不是所有人都了解网络协议的，如果防火墙工具出现了过滤遗漏问题，他们只能等着被入侵了。一些公司采用定期从网络升级过滤规则的方法，这个创意固然可以方便一部分家庭用户，但是对相对比较专业的用户而言，却不见得就是好事，因为他们可能会有根据自己的机器环境设定和改动的规则，如果这个规则刚好和升级到的规则发生冲突，用户就该郁闷了，而且如果两条规则冲突了，防火墙该听谁的，会不会当场“死给你看”（崩溃）？也许就因为考虑到这些因素，至今我没见过有多少个产品会提供过滤规则更新功能的，这并不能和杀毒软件的病毒特征库升级原理相提并论。为了解决这种鱼与熊掌的问题，人们对包过滤技术进行了改进，这种改进后的技术称为“动态包过滤”，与它的前辈相比，动态包过滤功能在保持着原有静态包过滤技术和过滤规则的基础上，会对已经成功与计算机连接的报文传输进行跟踪，并且判断该连接发送的数据包是否会对系统构成威胁，一旦触发其判断机制，防火墙就会自动产生新的临时过滤规则或者把已经存在的过滤规则进行修改，从而阻止该有害数据的继续传输，但是由于动态包过滤需要消耗额外的资源和时间来提取数据包内容进行判断处理，所以与静态包过滤相比，它会降低运行效率，但是静态包过滤已经几乎退出市场了，我们能选择的，大部分也只有动态包过滤防火墙了。 　　代理服务器型（Proxy Service）防火墙通常由两部分构成，服务器端程序 和客户端程序。客户端程序与中间节点连接，中间节点再与提供服务的服务器实际连接。 　　复合型（Hybfid）防火墙将包过滤和代理服务两种方法结合起来，形成新的 防火墙，由堡垒主机提供代理服务。 各类防火墙路由器和各种主机按其配置和功能可组成各种类型的防火墙， 主要有： 双宿主主机防火墙， 它是由堡垒主机充当网关， 并在其上运行防火墙软件， 内外网之间的通信必须经过堡垒主机； 主机过滤防火墙是指一个包过滤路由器与 外部网相连，同时，一个堡垒主机安装在内部网上，使堡垒主机成为外部网所能 到达的惟一节点，从而确保内部网不受外部非授权用户的攻击；加密路由器对通 过路由器的信息流进行加密和压缩， 然后通过外部网络传输到目的端进行解压缩 和解密。 　　三、防火墙的基本功能 　　典型的防火墙应包含如下模块中的一个或多个：包过滤路由器、